Можно ли запросить у обработчика подтверждение защиты до начала обработки данных?
Поручение должно предусматривать подтверждение мер и требований по запросу оператора в течение всего срока, включая период до обработки.
Короткий ответ
Да. Обязанность обработчика по запросу оператора предоставлять документы и другую подтверждающую информацию должна действовать в течение срока поручения, в том числе до начала обработки данных.
Это предусмотрено частью 3 статьи 6 закона о персональных данных. Поэтому оператору не нужно сначала передать реальные сведения, чтобы только потом выяснить, готов ли исполнитель выполнять требования.
Что подтверждается
Проверка связана с принятыми мерами и соблюдением требований, необходимых для исполнения поручения. В их числе – защита данных, внутренние организационные меры и применимые требования локализации.
Например, обещание сервиса «мы соблюдаем 152-ФЗ» не показывает, где находится рабочая база и как ограничен доступ сотрудников. Подтверждающая информация должна относиться к фактическому процессу, который поручают исполнителю.
Запрос не обязательно означает одинаковый полный аудит каждого подрядчика. Его состав стоит связывать с характером операций и доступом к данным. Разработка сайта без получения пользовательской базы и постоянное хранение кадрового массива создают разные вопросы.
Полезно заранее определить в договоре порядок предоставления информации: кому адресуется запрос, какие подтверждения относятся к поручению и как стороны разбирают обнаруженные несоответствия. Но договорный порядок не должен превращать предусмотренную обязанность в формальную возможность исполнителя отвечать только после инцидента.
Также нужно различать наличие документа и фактическое выполнение мер. Типовая политика подрядчика не всегда подтверждает, что именно ваш процесс организован заявленным способом.
Ответ раскрывает возможность проверки до обработки. Он не подтверждает достаточность конкретного комплекта документов без анализа поручения и реальной работы сервиса.
Если нужно применить ответ к Вашей ситуации или документам, Заказать подготовку комплекта документов: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.
Что ещё полезно знать
Частые вопросы по теме
- Как оформить конфиденциальность при обмене данными между самостоятельными операторами?
- Может ли зарплатный аутсорсер быть обработчиком и оператором одновременно?
- Как разграничить владельца пространства, пользователя и разработчика программы при обработке данных?
- Можно ли указать уровень защищённости в поручении вместо полного списка требований?
- Почему требования ИСПДн нельзя бездумно переносить на поручение бумажной обработки?
